JADEPUFFER 智能體勒索軟體：手機 Agent 權限該怎麼設計

JADEPUFFER 是什麼？為何它不是 Android 手機攻擊

JADEPUFFER 智能體勒索軟體是 Sysdig 在 2026 年 7 月記錄的 Agent 式威脅案例。它的原始活動鎖定雲端與資料庫基礎設施，展現攻擊者如何用自主化流程加快偵察、選擇目標、推進勒索與執行破壞。這起事件的環境是雲端和資料庫，不是 Android 手機。

「智能體勒索軟體」的關鍵不只在惡意程式碼，而在於攻擊流程具有感知、判斷、工具使用與持續調整能力。傳統自動化按照預先寫好的固定步驟執行；Agent 式攻擊可以根據找到的資源、權限和防禦反應改變下一步，使攻擊速度與範圍更難只靠單一特徵攔截。

Sysdig 於 7 月 1 日發布的 JADEPUFFER 原始報告將其描述為針對資料庫進行自動化勒索的 Agent 式威脅行動。這項案例值得手機 Agent 團隊研究，原因不是攻擊發生在手機，而是它揭示了「規劃能力加上過大工具權限」可能形成的風險放大器。

Android AI agent security 面對的是不同執行環境。手機 Agent 會接觸畫面、應用程式、通知、檔案、聯絡人及其他裝置能力，也可能根據畫面內容決定下一步。若感知來源被操控，或動作通道擁有超出任務所需的權限，模型就可能在看似合理的計畫中執行錯誤操作。

因此，JADEPUFFER 對手機端最有價值的啟示，是安全設計不能只判斷模型是否「有惡意」。還要限制 Agent 能看到什麼、能使用哪些工具、哪些應用程式可以操作、重要步驟如何確認，以及使用者如何立即停止並檢查已完成結果。

從資料庫勒索到破壞 AI 模型：2026 年 7 月事件時間線

JADEPUFFER 在 7 月的發展可以分成原始案例與後續觀察。兩篇報告都來自 Sysdig，因此適合用來理解該公司記錄到的攻擊活動、行為變化與防禦建議；更廣泛的結論仍應結合不同環境的實際紀錄與控制測試。

原始報告展現的第一個重要變化，是攻擊者可以讓 Agent 依環境回應。發現新的資料庫、憑證或雲端資源後，系統能重新安排後續操作。這種彈性使「阻擋一條固定腳本」不再足夠，防禦方還要限制每個身分和工具可以到達的範圍。

Sysdig 於 7 月 20 日發布的後續分析表示，JADEPUFFER 行動出現進一步演變，並部署以破壞 AI 模型為目標的勒索軟體。這是 Sysdig 根據其觀察提出的威脅描述，說明 AI 模型檔案、訓練成果與相關基礎設施也可能成為攻擊資產。

對產品團隊而言，保護 Agent 不應只從聊天介面開始。模型檔案、系統提示、工具設定、憑證、工作記憶與執行紀錄都可能影響 Agent 行為。任何一項被修改，都可能讓原本合理的工作流程產生錯誤計畫或擴大影響。

手機 Agent 的對應策略，是把權限和工具範圍綁定單次任務。例如，「整理相簿中的三張測試照片」只需要特定資料範圍和有限動作，不必取得所有檔案與所有應用程式控制。即使模型計畫發生偏移，執行通道仍會把影響限制在預先定義的工作範圍。

行動 GUI Agent 研究揭露了哪些手機端攻擊面

JADEPUFFER 發生在雲端與資料庫，而 2026 年 7 月更新的行動 GUI Agent 研究則把焦點帶到手機端。這項研究在受控環境中評估五個開源研究或開發框架，檢查 Agent 如何受到畫面感知與執行通道影響。它提供的是實驗威脅模型，而不是廣泛 Android 實際攻擊事件統計。

7 月 14 日修訂的行動 GUI Agent 安全研究整理了七類實驗攻擊。這些測試大致落在兩個面向：一是讓 Agent 對螢幕和輸入形成錯誤理解，二是濫用 Agent 與主機或工具之間的執行通道。研究列出的代表性風險包括不可見內容、截圖竄改、輸入攔截與主機命令注入。

不可見內容利用的是「Agent 看得到、使用者未必看得到」的落差。畫面中的透明文字、極小內容、特殊排列或其他視覺技巧，可能被 Agent 的感知系統讀入並當成指令。使用者只看到正常應用程式畫面，Agent 卻收到額外提示，形成 mobile GUI agent prompt injection。

截圖竄改則直接改變 Agent 用來判斷環境的影像。如果模型依據被修改的截圖認為某個按鈕、安全提示或收件人已經出現，就可能規劃不符合真實畫面的動作。這類攻擊顯示，畫面擷取來源和傳輸路徑本身也需要完整性保護。

輸入攔截影響的是使用者與 Agent 之間的互動。若確認內容、鍵盤輸入或觸控事件在抵達目標前被替換，使用者以為核准的是一項操作，執行端可能收到另一組參數。敏感動作需要把使用者看到的內容與最後送入執行通道的資料綁定。

主機命令注入則發生在 Agent 將模型輸出或外部內容組合成命令時。若參數沒有結構化處理，惡意字串可能脫離原本欄位，轉成額外主機操作。安全設計應採用明確的動作介面和參數驗證，避免把不受信任文字直接拼進可執行命令。

另一項MIRAGE 行動提示注入研究進一步說明，手機畫面本身可以成為對 GUI Agent 的間接指令來源。對產品團隊來說，這表示應用程式內容既是任務資料，也可能攜帶操控 Agent 的文字或視覺訊號，兩者需要被區分。

三層威脅模型：攻擊者、受污染感知與過度執行權

要把 JADEPUFFER 和手機 GUI Agent 研究放進同一張安全圖，最實用的方法不是把兩者視為同一攻擊，而是分成三層：具自主規劃能力的攻擊者、遭操控的感知輸入，以及權限過大的執行通道。三層可以分別出現，也可能在同一事件中互相放大。

第一層關注 Agent 自己如何選擇下一步。JADEPUFFER 案例說明，一個攻擊流程若能持續觀察環境並調整工具使用，就能比固定腳本更快擴張。防禦不能只辨識某個惡意指令，也要限制身分、資源和工具之間的可達範圍。

第二層關注「Agent 相信了什麼」。手機 GUI Agent 會從截圖、無障礙資訊、文字辨識或輸入事件建立畫面理解。任何來源被操控，都可能讓模型在錯誤前提下做出邏輯上合理的計畫。安全系統應記錄感知來源，並在重要步驟重新取得可信狀態。

第三層決定錯誤計畫能造成多大影響。即使模型誤讀畫面，只要執行通道限制在一個低風險動作內，結果仍容易控制；反之，若工具可以執行任意命令或跨越多個應用程式，單一感知錯誤便可能擴大。

這也是為什麼手機 Agent 技能需要持續治理。技能安裝時通過檢查，只能代表當下程式內容；執行時接收到的畫面、資料和遠端指令仍可能改變。相關設計可參考AI Agent 技能安全：為什麼手機 Agent 不能只靠安裝前掃描。

Android 手機 Agent 的實用安全控制矩陣

手機 Agent 要如何把上述風險轉成可執行控制？單一安全功能無法涵蓋感知、權限、確認與恢復。較完整的做法，是在任務建立、畫面讀取、動作呼叫、重要結果和事後檢查各自設置控制點。

任務範圍權限比永久廣泛授權更適合手機 Agent。例如，整理指定資料夾中的測試文件，可以把權限限制在該資料夾、特定檔案類型和目前工作階段。任務結束後，相關能力也能回到原本狀態。

應用程式允許清單則防止流程因提示注入而跳往其他 App。若任務只涉及檔案管理和訊息草稿，Agent 就沒有理由開啟金融、密碼管理或系統管理應用程式。模型計畫若提出清單外動作，系統應停下並要求重新評估。

安全命令呼叫需要從介面設計開始。與其把模型輸出的文字直接交給 shell，應提供「移動檔案」、「建立草稿」或「開啟指定設定頁」等結構化動作，再驗證每個參數。這使模型能表達意圖，同時讓執行端保持明確範圍。

身分、權限與操作紀錄需要連成一條證據鏈。想建立更完整的治理方法，可閱讀AI Agent 身分、權限與稽核軌跡：手機 Agent 真正需要的安全棧。

為什麼最後確認仍需要可信畫面與輸入通道

要求使用者在最後一步按下確認，是手機 Agent 的重要控制，但確認的可靠度取決於使用者看見的內容是否真實，以及確認訊號是否正確抵達執行端。如果畫面感知、截圖或輸入通道已被操控，單一確認按鈕可能無法呈現真正要執行的動作。

假設惡意內容讓 Agent 把收件人 A 誤認為收件人 B，而確認畫面只顯示「是否傳送？」使用者即使按下同意，也沒有得到足夠資訊。更好的做法是顯示收件人、訊息摘要、附件和實際應用程式，讓確認綁定具體參數。

截圖竄改會帶來另一種落差。模型可能依被修改的畫面產生計畫，使用者卻在另一個畫面上確認。重要動作前應重新取得可信介面狀態，並比較顯示內容、模型計畫與執行參數是否一致。

輸入攔截則可能在使用者按下按鈕後替換選項。安全確認通道應把使用者看到的交易或動作摘要，與最後送入執行器的參數建立完整性關聯。若參數在確認後改變，就需要重新顯示並再次核對。

確認也要搭配權限和停止控制。即使某一步已被核准，後續動作仍應停留在任務範圍內；使用者也應能隨時停止工作，查看哪些步驟已完成。如此可以避免一次確認被延伸成整段流程的長期授權。

對一般使用者而言，最實用的檢查問題是：確認畫面是否清楚列出對象、資料、應用程式與影響？若只看到抽象的「允許 Agent 繼續」，就難以判斷實際核准內容。手機操作、權限與確認的基礎分工可參考手機 AI Agent 控制是什麼？Android 手機自動化代理的能力、邊界與安全檢查。

FoneClaw 如何讓 Android 動作保持可見、可控與可接續

FoneClaw 的產品設計把模型推理與 Android 手機動作放在一條可見工作流程中。使用者設定的支援模型負責理解自然語言、推理條件與規劃步驟；FoneClaw 執行支援的 Android 動作，並呈現目前狀態與實際結果。

當任務需要檔案、聯絡人、通知或其他 Android 能力時，FoneClaw 依具體步驟處理相應權限。權限服務於當前工作，而不是把整支手機視為單一工具。這種任務導向方式有助於把模型計畫限制在支援的動作範圍內。

畫面與結果保持可見，也讓使用者能辨識計畫是否符合預期。模型提出要選擇某個檔案時，FoneClaw 顯示實際 Android 狀態；到了傳送、刪除、提交或其他重要步驟，使用者可以檢查對象、內容與影響，再確認是否繼續。

若應用程式畫面、帳號狀態、資料或權限阻礙下一步，FoneClaw 會保留已完成成果，提供補充資訊、修改條件、重試支援步驟或手動接續等實際選項。部分失敗不需要演變成整段任務重跑，也能降低重複傳送或重複修改的風險。

停止與接管同樣屬於工作流程。使用者可以根據可見進度決定是否繼續，並在需要時轉為人工操作。模型後續若要重新規劃，可以從已完成狀態出發，而不是假設任務仍停在最初畫面。

JADEPUFFER 與行動 GUI Agent 研究帶來的共同啟示，是 Agent 能力越強，感知與執行之間的控制就越重要。FoneClaw 透過支援動作、可見結果、權限感知、使用者確認和實際接續方式，讓 Android 手機任務在每個關鍵階段都能被理解與管理。